Smartphone Securityについての勉強会資料＠ZenCoworking 2012/04/13

1. Smartphone Security
株式会社hemplant 代表取締役CEO 麻植泰輔

2. Smartphone Security
麻植泰輔（おえ たいすけ）
Androidアプリの開発者
写真/顔認識/Facebookアプリ
facebook: oe.taisuke
twitter: @OE_uia

3. Smartphone Security
Q. Securityについて、どんな
イメージを持っていますか？

4. Smartphone Security
良く分からない
怖い
面倒くさい
....
などなど

5. Smartphone Security
Securityの定義
意図せぬ行動や、情報漏洩をしな
いための自衛手段

6. Smartphone Security
今回の目的:
1) Smartphoneにまつわる危険性と、その
自衛手段を理解する。
2) 1をふまえて、自分が何をする/しないと
いうスタンスを決める。

7. Smartphone Security
注)もちろん自衛が難しい部分はあります。
自衛できない部分 =>
OS(オペレーティングシステム)の脆弱性/
OSメーカーや通信キャリアが勝手に仕込ん
だソフト
使用を止めるしかない！

8. Smartphone Security
最終的には....

9. Smartphoneに潜む危険
アプリ経由 非アプリ経由
お金が 有料通信(プレミアSMS/ダイア アプリ等決済用アカウント
ルQ2)の無断利用 (iTunes)の無断利用
かかる系
情報が
不要な個人情報の取得/利用 フィッシング詐欺
もれる系

10. Smartphoneに潜む危険
アプリ経由 非アプリ経由
お金が 有料通信(プレミアSMS/ダイア アプリ等決済用アカウント
ルQ2)の無断利用 (iTunes)の無断利用
かかる系
情報が
不要な個人情報の取得/利用 フィッシング詐欺
もれる系

11. Smartphoneに潜む危険
お金がかかる系-アプリ経由
- 有料サービスを勝手に使用する。
プレミアSMSや、有料電話回線(ダイアル
Q2)に、勝手にアクセスする。

12. Smartphoneに潜む危険
お金がかかる系-アプリ経由の具体例
1) Android.TigerBot (2012/4/12 発見)
-SMS経由で色んな命令を受信・実行する。
-インストールされていても、googleのプロセスに偽装する。
・通話音声を含む電話周辺の音の録音
・ネットワーク設定の変更
・現在のGPSロケーションのアップロード
・写真撮影とアップロード
・特定番号へのSMS送信
・電話の再起動
・他の実行中のプロセスの強制終了
引用:Gigazineより
http://gigazine.net/news/20120412-tigerbot-new-android-malware/

13. Smartphoneに潜む危険
防護策
1)アプリが要求している
アクセス許可を
ちゃんと見る。
Android.TigerBotの場合
25種類!!もの許可を
要求する。
引用:Symantec web siteより
http://www.symantec.com/security_response/writeup.jsp?docid=2012-041010-2221-99&tabid=2

14. Smartphoneに潜む危険
参考:マルウェア/ウィルスの報告数(カペルスキー調べ)
Windows: 650万種
Android: 5000種
http://appllio.com/android-mobile-topic/20120220-1636-Malware-Permission
参考記事:成長著しいスマートフォン、出荷台数でPC上回る
http://jbpress.ismedia.jp/articles/-/34480

15. Smartphoneに潜む危険
-お金がかかる系-アプリ経由
加工されたpdfファイル(文書等)を通じて、
iPhoneの電話やメール、写真にアクセスでき
てしまう不具合(2010年第4世代まで)
iPhoneの抱えていた複数の脆弱性を利用

16. Smartphoneに潜む危険
防護策
1)OSをきちんとアップデートする。
2)出所不明のファイルはなるだけ開かない。

17. Smartphoneに潜む危険
アプリ経由 非アプリ経由
お金が 有料通信(プレミアSMS/ダイア アプリ等決済用アカウント
ルQ2)の無断利用 (iTunes)の無断利用
かかる系
情報が
不要な個人情報の取得/利用 フィッシング詐欺
もれる系

18. Smartphoneに潜む危険
お金がかかる系-非アプリ経由
- アプリ/音楽の購入が出来るアカウント
(iTunes)を、他人に勝手に利用される。

19. Smartphoneに潜む危険
アカウント情報漏洩の具体例
iTunesの不正利用が昨年の段階で4000件。
NHKでも報道されました。
違法に取得されたアカウント情報が、中国で
売買されているという報道もアリ。

20. Smartphoneに潜む危険
Appleは、公式には認めていない。
テキスト
http://www.caa.go.jp/adjustments/pdf/100304adjustments_1.pdf

21. Smartphoneに潜む危険
参考:日本クレジット協会は認めている。
テキスト
http://www.caa.go.jp/adjustments/pdf/100318adjustments_1.pdf

22. Smartphoneに潜む危険
防護策
-根本的な原因は、Appleが公表していないので不明...
-パスワードをiTunes以外で記入しない。(フィッシング対策)
-使い回さない。
-英単語や数字の羅列など、簡単なパスワードを使わない。
ローマ字はok。
-長く(8文字以上)にする
-理想的には、英語(大文字,小文字)、数字、記号を混ぜたもの
を使う。

23. Smartphoneに潜む危険
参考:最悪なパスワード 25より抜粋
http://www.hardmac.com/news/2011/11/22/here-is-the-list-of-the-worst-25-passwords?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+hardmac+%28HardMac.com%29
1 password
2 123456
3 qwerty
4 abc123
5 monkey
6 dragon
7 baseball
8 111111
9 Iloveyou
10 passw0rd

24. Smartphoneに潜む危険
アプリ経由 非アプリ経由
お金が 有料通信(プレミアSMS/ダイア アプリ等決済用アカウント
ルQ2)の無断利用 (iTunes)の無断利用
かかる系
情報が
不要な個人情報の取得/利用 フィッシング詐欺
もれる系

25. Smartphoneに潜む危険
情報が漏れる系
- 必要以上に個人情報を取得される。
- アプリ経由であっても、購入時に既にイン
ストールしてあり、事実上回避が難しい場合
もある。

26. Smartphoneに潜む危険
不要な個人情報を取得するアプリ
1)某2chブラウザ
位置情報(基地局)
位置情報(GPS)
インターネット
電話番号
SDカード

27. Smartphoneに潜む危険
防護策
-インストール時にしっかりアクセス許可
(permission)を見る。不要なものがある場合
は、DLを避ける。

28. Smartphoneに潜む危険
不要な個人情報を取得するアプリの具体例
2)iOS
ユーザーの連絡先を無断で収集。
テキスト
http://itpro.nikkeibp.co.jp/article/NEWS/20120216/381805/
=>アップデート
で修正(予定?)

29. Smartphoneに潜む危険
アプリ経由 非アプリ経由
お金が 有料通信(プレミアSMS/ダイア アプリ等決済用アカウント
ルQ2)の無断利用 (iTunes)の無断利用
かかる系
情報が
不要な個人情報の取得/利用 フィッシング詐欺
もれる系

30. Smartphoneに潜む危険
情報が漏れる系-非アプリ経由
フィッシング詐欺。
スパムメールに書いていたリンクをクリックしたら、支払い
を要求された。
Twitterの短縮URL(e.g. bit.ly)をクリックしたら、アカウント
情報の入力を要求された。

31. Smartphoneに潜む危険
余談:対策が難しいもの。
- Carrier IQ。一部のAndroid/iPhoneアプリに最初からイン
ストールされており、勝手に入力情報や個人情報などを収
集。(2011年12月)
http://jp.techcrunch.com/archives/20111201carrier-iq-how-to-find-it-and-how-to-deal-
with-it/
- その他、 取り上げなかったAndroid, iPhoneの脆弱性
e.g.)rageagainstthecage

32. Smartphoneに潜む危険
消極的な防護策:
-パスワードを分けておいて、漏れた場合のリスクを提言す
る。
-クレジットカードの請求はきちんと毎月見て、変な支出が
ないかチェックする。

33. Smartphoneに潜む危険
まとめ:
- 大概のことには、パスワードを強固にす
る、アクセス許可を精査する、出所の分から
ないファイルは開かないなどの普通の方策で
対処できる。
- 対処できない問題については...利便性と危
険性を天 にかけて、決断する。